如何限制 iam 用户仅创建私有托管区域并拒绝公共托管区域

Question

我正在尝试编写 iam 策略来限制公共托管区域并仅允许私有区域。

我看到私有和公共 Create 的 iam 操作是相同的 route53:CreateHostedZone.

如何做到这一点。

Answer 1

我认为使用 IAM 策略是不可能的。

看一下table that lists the actions and supported condition keys，我们可以看到，CreateHostedZone 操作没有特定的条件键。

这意味着唯一适用的条件键是global condition keys，很遗憾它也对您没有帮助。 因此，阻止此操作似乎是不可能的。

这让您可以选择检测它，在这种情况下，您可能想要使用 AWS 配置并为其编写自定义规则。然后，您还可以配置 Lambda 函数以自动删除已创建的公共托管区域。